Sous-chapitre 7.4 - Externalisation (« Outsourcing »)
CSSF Circular 20/758 — Central administration, internal governance and risk management (investment firms) · CSSF 20/758
Sous-chapitre 7.4. Externalisation (« Outsourcing »)
182. Les externalisations doivent se conformer aux exigences règlementaires de la circulaire CSSF 22/806 relative à l’externalisation.
183. Le recours à l’externalisation ne doit pas aboutir à une situation telle que l’esprit ou la lettre des dispositions légales applicables et de la présente circulaire en matière d’administration centrale, de gouvernance interne et de gestion des risques ne sont plus respectées.
In Luxembourg, Article II.7.4 acts as a direct cross-reference to CSSF circular 22/806, the operational outsourcing framework (including cloud) for credit institutions and PFS. The CSSF requires prior notification for outsourcing of critical or important functions and enforces the retention of central administration substance in Luxembourg, in line with Article 19 of the Law of 5 April 1993 on the financial sector.
Luxgap practice: map each critical outsourcing against the CSSF 22/806 notification thresholds and keep timestamped evidence of the substance retained in Luxembourg, the only argument enforceable during an on-site inspection.
